Initia、MoveVMバグで攻撃者が270万ドル相当を不正発行、レイヤー1を停止

Initia、レイヤー1と全ロールアップを停止

Cosmos SDK上に構築されたレイヤー1ブロックチェーンInitiaは、セキュリティインシデントの発生を受け、10月23日金曜日の15時41分30秒(UTC)にレイヤー1本体と接続されたすべてのロールアップの稼働を停止した。プロジェクトの公式Xアカウントが投稿した停止の発表によれば、チームは現時点でセキュリティ企業、バリデータ、取引所と連携して影響範囲の全体把握を進めており、停止期間中に拡散する非公式のリンクや情報への注意を利用者に呼び掛けている。オンチェーンデータでは、チェーンはブロック高23,365,925で停止しており、それ以降の新規ブロックは生成されていない。約20分後、共同創業者のEzaan Mangalji氏が最初の技術的な見解をX上で公表した。それによると、InitiaがCosmos SDK上で実行するMoveVM実行環境に存在した「デイゼロ」バグが、攻撃者にレイヤー1上でのトークンの直接発行を許したという。MoveVMはMove言語で書かれたスマートコントラクトを実行する仮想マシンで、Cosmos SDK系チェーンとしては珍しい採用だ。Mangalji氏の「デイゼロ」という表現は、この欠陥が後のアップデートで持ち込まれたものではなく、初回デプロイ時点からコードに存在していたことを意味する。氏はネイティブトークンINIT自体には影響がないことを強調した。バリデータがチェーンを停止させる前に、攻撃者は約270万ドル相当のAUSD、ETH、USDCを発行してブリッジ経由で持ち出した。バグの仕組みについては明かされておらず、最終的な損失額も確定していない。Initiaのレイヤー1はアプリ特化型ロールアップ間の相互運用性と流動性を司る役割を担い、レイヤー3ブロックチェーンがロールアップ上に積み重なる構造から一段離れた設計であり、ステーキングでネットワークを支えるバリデータも調査に巻き込まれた。利用者への影響は全面的で、入金、スワップ、ロールアップ間送金が一斉に止まった。土曜日朝の時点で、再開時刻もバグの詳細公表も復旧計画も示されていない。

@initia · Xの投稿

停止の発表.

Xで見る

270万ドルの流れた先

公式発表が語らなかった部分は、オンチェーンの記録が埋めている。セキュリティ研究者は停止の14分前にあたる15時27分(UTC)に警告を投稿し、トークンが無制限に発行され、すでに約260万ドルが換金済みで、さらなる送金が進行中だと報告した。Ethereum上の記録によれば、攻撃者アドレス0xDD92...edFAはさらに前から動いており、15時03分(UTC)に単一のトランザクションで140万AUSDをアグリゲーターの1inch経由でルーティングしていた(ハッシュ0xeb5e85e76f00a7a84dfe4d2d6aab146a769785b3d80307c67dde14c79f36c5ae)。チェーン停止の5秒後にあたる15時41分35秒(UTC)、同じアドレスは新規のEthereumアドレス0x358e...CAC8へ1,135.5 ETHを移動させた。この送金はEthereum上で実行されたため、Initiaの停止の影響は及ばなかった。土曜日朝の時点でこの新アドレスは1,135.5 ETHを全額保持したまま出金動作がなく、ETHが2,381ドル近辺であることから約270万ドル相当と評価され、Mangalji氏の推定値と整合する。AUSDの発行主体であるAgoraは夜を通じて二度対応を発表した。Initia上には同社のスマートコントラクトはデプロイされておらず、AUSDも同チェーン上には存在しない。他ネットワーク上のデプロイは完全な担保を持ち正常に稼働しており、セキュリティチームはトークンが展開されているチェーン上で攻撃者アドレスが保持するAUSDを凍結するという。取引所の対応も迅速だった。Upbitはセキュリティインシデントの兆候を理由に15時57分(UTC)にINITの入出金を停止し、その後ボラティリティ拡大の可能性を顧客に警告した。Bithumbも同じ措置を取った。取引自体は継続し、INITは24時間で0.114ドルから0.156ドルの間で推移し、土曜日早朝の市場データでは0.138ドル近辺、セッション序盤の12.5%上昇から上げ幅を4.6%まで縮め、時価総額は約2,920万ドルだった。トークンは2025年5月につけた最高値1.42ドルを下回る水準でおよそ90%、ベアマーケット圏に沈んだままだ。

記録が残した謎と残る課題

オンチェーンの記録とチームの発表を突き合わせると、異例なほど明白な痕跡が残されている。発行トランザクションのハッシュと一連の追跡送金は公開されて検証可能で、新しいアドレスに据え置かれた1,135.5 ETHは最も明確な回収対象となる。Agoraの凍結命令により、トークンが展開されているチェーン上のAUSDは一部を取り戻せる可能性があるが、ETHとUSDCの部分には同等の手段が存在しない。最大の未解決点はバグそのものだ。事後検証も、根本原因の開示も、再開日程も出ていない。Initiaが検証済みの復旧計画を公表するまで、ネットワーク上の全ロールアップは凍結が続く。Cosmos SDKチェーン上で動くMoveVMにデイゼロの欠陥が潜んでいたというこの事実は、週末を通じて他のMove採用チームが監査に回るポイントになる。